Vulnerabilità chaiOS - Il collegamento semplice causa il blocco dell'iPhone

L'altro giorno è stata scoperta una vulnerabilità in iOS, che porta al fallimento del programma "Messaggi", seguito da un "blocco" e un riavvio dello smartphone. Ciò accade quando ricevi un messaggio sul tuo smartphone con un collegamento URL appositamente progettato.

Il bug è stato scoperto dallo sviluppatore Abraham Masri, che lo ha chiamato "chaiOS". L'essenza della vulnerabilità è che l'applicazione "Messaggi", quando invia un collegamento URL, precarica la pagina e ne visualizza l'anteprima. Masri dice di aver creato una pagina web ospitata su GitHub e di averla riempita con centinaia di migliaia di caratteri. Il programmatore presume che l'arresto anomalo del programma sia causato da un tentativo di precaricare una serie di informazioni non necessarie, che in seguito provoca l'arresto anomalo del sistema operativo e porta a blocchi e riavvii.

A giudicare dai resoconti degli utenti, la vulnerabilità ha effetti contrastanti. Ma i più frequenti portano al "crash" del programma "Messaggi", ai freni del sistema, al blocco completo del dispositivo e talvolta al "respring" (iOS ricarica il software SpringBoard e riporta l'utente alla schermata di blocco).

Lo sviluppatore ha testato chaiOS su iPhone X e iPhone 5S. Ha poi riferito che la vulnerabilità riguarda iOS dalla versione 10.0 alla versione 11.2.5 beta 5. La vulnerabilità può causare l'arresto anomalo di "Messaggi" anche su macOS, quindi anche i proprietari di MacBook dovrebbero proteggere i propri dispositivi.

Fortunatamente, trovare copie di URL funzionanti non è così facile al momento. Dopo che il collegamento dannoso è stato pubblicato su GitHub e copiato da un gran numero di terze parti, il sito ha deciso di rimuoverlo. Lo stesso Masri non caricherà più la versione funzionante della pagina. Il pre-caricamento su GitHub è stato eseguito solo a scopo di attenzione Apple.

Per la sicurezza dei nostri lettori, pubblichiamo una breve guida sulla protezione dei dispositivi iOS:

1. Blocco del dominio del sito in cui si trova la vulnerabilità. Se il collegamento porta a una risorsa GitHub, vai su Impostazioni - Safari - Di base - Restrizioni - Abilita restrizioni (inserisci una password di restrizione di 4 cifre) - Siti Web - Limita contenuto per adulti - (Sottosezione "Non consentire mai") ​​aggiungi un sito - GitHub .io.
2. Elimina rapidamente un messaggio quando viene ricevuto. Ci sono recensioni contrastanti degli utenti sull'efficacia di questo metodo. Tutto dipende dalla velocità con cui l'utente può eliminare il messaggio con il collegamento dannoso.
3. Ripristina iPhone alle impostazioni di fabbrica. È l'ultima risorsa, poiché dopo il suo utilizzo, tutte le informazioni non salvate vengono eliminate. E se non disponi di copie di backup del sistema, è meglio abbandonare questa misura.
4. In attesa di patch. Sfortunatamente, non è noto se l'azienda stia lavorando per correggere questo problema, dal momento che i commenti ufficiali di Apple finché non è arrivato.

Questa categoria di vulnerabilità non è nuova al firmware dell'iPhone. Tali collegamenti dannosi hanno causato il blocco degli smartphone dell'azienda nel 2015 e nel 2016. Dato che alla fine dello scorso anno c'era un numero enorme di correzioni del firmware da parte dell'azienda Apple, resta da sperare che l'azienda diventi più attenta e reattiva ai problemi di sicurezza nel prossimo anno.

fonte: theverge.com